Performance et audit interne

Pourquoi cette clause conditionne la survie du SMSI

Un SMSI qui n'est jamais mesuré, jamais audité et jamais revu par la direction n'est pas un système de management : c'est un ensemble de documents figés au jour de la certification initiale. La clause 9 de l'ISO 27001:2022 impose exactement l'inverse — un cycle vivant de surveillance, de vérification et de décision qui alimente en continu la clause 10 (amélioration).

Ce chapitre couvre les trois sous-clauses obligatoires : 9.1 (surveillance, mesure, analyse, évaluation), 9.2 (audit interne) et 9.3 (revue de direction). Ce sont, avec l'appréciation des risques, les exigences les plus souvent en écart lors des audits de certification — non pas parce qu'elles sont complexes sur le papier, mais parce qu'elles sont fréquemment traitées comme des formalités administratives plutôt que comme des mécanismes de pilotage réel. Un auditeur de certification expérimenté passe généralement plus de temps sur ces trois sous-clauses que sur n'importe quel contrôle isolé de l'annexe A, car elles révèlent si le SMSI fonctionne réellement ou s'il a simplement été mis en scène pour l'audit.

La clause 9 n'est pas une case à cocher annuelle. Les indicateurs de 9.1 nourrissent les critères d'audit de 9.2, les constats d'audit remontent en entrée de la revue de direction de 9.3, et les décisions de la revue déclenchent les actions correctives et préventives de la clause 10. Rompre ce fil casse la boucle PDCA sur laquelle repose l'ensemble de la norme.

9.1 — Surveillance, mesure, analyse et évaluation

La norme demande de déterminer cinq éléments avant de commencer à produire le moindre chiffre :

1. Quoi surveiller et mesurer — processus SMSI et contrôles de sécurité retenus dans la déclaration d'applicabilité (SoA).
2. Les méthodes — comptage, calcul de ratio, moyenne, tendance ; elles doivent produire des résultats comparables et reproductibles d'une période à l'autre.
3. Quand mesurer — fréquence adaptée à la volatilité du phénomène : les tentatives de phishing se comptent en continu, la maturité d'un processus de gestion des risques se réévalue plutôt trimestriellement ou annuellement.
4. Qui mesure — rôle responsable de la collecte, idéalement distinct de qui exploite directement le contrôle mesuré.
5. Qui analyse et évalue, et quand — l'analyse transforme une donnée brute en interprétation ; l'évaluation la compare à un critère d'acceptation défini à l'avance.

Un indicateur sans analyse n'est qu'un chiffre. La confusion la plus fréquente en audit interne consiste à présenter un tableau de bord rempli de donnéesdonnéesIAEnsemble d'informations structurées ou non utilisées pour entraîner, évaluer ou alimenter un modèle. La qualité, la quantité et la représentativité des données sont les facteurs décisifs pour les performances en apprentissage automatique.Voir dans le glossaire collectées mois après mois, sans commentaire sur leur signification ni décision associée. Un bon indicateur SMSI se distingue par un critère simple : si le chiffre franchit un seuil défini, une action précise se déclenche, avec un responsable identifié. Sinon, l'indicateur ne sert qu'à remplir un rapport.

Il est utile de distinguer deux familles d'indicateurs. Les indicateurs de résultat (lagging) mesurent un effet déjà survenu — nombre d'incidents, durée moyenne de compromission avant détection. Les indicateurs de processus (leading) mesurent la robustesse d'un mécanisme censé prévenir l'effet — taux de patchs appliqués dans les délais, taux de comptes revus. Un tableau de bord SMSI équilibré combine les deux : les indicateurs de processus permettent d'agir avant que l'incident ne survienne, les indicateurs de résultat valident que les mesures préventives produisent effectivement l'effet recherché.

Exemples d'indicateurs SMSI exploitables

Un indicateur « vanity » — nombre de connexions au VPNVPNRéseauxRéseau privé virtuel qui chiffre le trafic entre deux points sur un réseau public. Il crée un tunnel sécurisé permettant d'accéder à des ressources distantes comme si on était sur le réseau local.Voir dans le glossaire, nombre de règles de pare-feupare-feuRéseauxÉquipement ou logiciel qui filtre le trafic selon des règles (ports, adresses, états) pour réduire la surface d'attaque.Voir dans le glossaire en place — flatte le tableau de bord mais ne dit rien de la sécurité réelle. Il n'est associé à aucun seuil ni à aucune décision. En audit interne comme en revue de direction, un indicateur qui ne peut pas répondre à la question « que fait-on si ce chiffre se dégrade ? » doit être retiré ou reformulé.

Les résultats de surveillance et de mesure doivent être documentés et conservés comme information documentée exigée par la norme — c'est cette trace qui sert de preuve d'audit, aussi bien pour l'audit interne que pour l'audit de certification.

9.2 — Audit interne

L'audit interne vérifie deux choses distinctes, et un auditeur débutant a tendance à ne vérifier que la première :

• Conformité — le SMSI répond-il aux exigences de la norme et à ses propres exigences internes (politiques, procédures) ?
• Efficacité — le SMSI est-il effectivement mis en œuvre et tenu à jour, au-delà du papier ?

Le programme d'audit

L'organisation doit établir un programme d'audit pluriannuel qui couvre, sur un cycle donné — typiquement trois ans, aligné sur la durée du cycle de certification — l'ensemble du périmètre du SMSI et l'ensemble des contrôles retenus dans la SoA. Le programme précise fréquence, méthodes, responsabilités, exigences de planification et de reporting, et tient compte de l'importance des processus concernés ainsi que des résultats des audits précédents : un domaine où des non-conformités récurrentes apparaissent doit être audité plus souvent que le reste du périmètre.

Deux approches coexistent dans la pratique. Certaines organisations planifient un audit annuel unique couvrant environ un tiers du périmètre par an. D'autres préfèrent des audits thématiques plus courts et plus fréquents — un audit sur la gestion des accès en mars, un audit sur la continuité d'activité en juin, un audit sur la gestion des fournisseurs en octobre. Les deux approches sont acceptées par les organismes certificateurs, à condition que la couverture complète du périmètre et de la SoA soit démontrable sur le cycle.

Compétence et indépendance des auditeurs

Un auditeur ne peut pas auditer son propre travail. Un RSSI qui a rédigé la politique de gestion des accès ne peut pas être l'auditeur qui évalue la conformité à cette politique. Sur une petite structure sans pool d'auditeurs internes suffisant, deux solutions courantes existent : croiser les rôles — l'administrateur système audite la gestion des sauvegardes tenue par un autre service, et inversement — ou recourir à un auditeur externe indépendant, sans que cela constitue un audit de certification.

La compétence de l'auditeur ne se limite pas à la connaissance de la norme. Un auditeur efficace comprend suffisamment le domaine audité pour distinguer un écart réel d'une variation acceptable de pratique, et sait échantillonner des preuves de façon représentative plutôt que de se contenter du premier document présenté.

Méthodologie type

1. Préparation — revue documentaire, définition du périmètre et des critères d'audit (norme, politiques, contrats).
2. Entretiens et observation — confrontation des déclarations aux pratiques réelles observées sur le terrain.
3. Échantillonnage de preuves — tickets, journaux d'événements, revues d'accès, comptes rendus de réunion.
4. Constat — classement en non-conformité majeure, non-conformité mineure, observation ou point fort.
5. Rapport — diffusiondiffusionIAFamille de modèles génératifs qui synthétisent une image (ou autre signal) en dénisant progressivement un bruit.Voir dans le glossaire à la direction et aux responsables de processus concernés.
6. Suivi — plan d'actions correctives avec échéances et responsables, vérifié lors de l'audit suivant.

Lors d'un audit interne portant sur la gestion des accès, l'auditeur constate que la procédure impose une revue trimestrielle des comptes à privilèges, mais que la dernière revue documentée date de neuf mois. Le contrôle existe sur le papier ; il n'est pas efficace dans les faits. C'est une non-conformité mineure typique — l'écart porte sur la mise en œuvre du contrôle, pas sur son existence formelle.

Une non-conformité majeure correspond soit à l'absence totale d'un contrôle exigé par la norme ou par la SoA, soit à une accumulation de non-conformités mineures sur le même point, révélant une défaillance systémique plutôt qu'un incident isolé.

9.3 — Revue de direction

La revue de direction est l'instance où la direction — au sens de la norme, la personne ou le groupe qui dirige et contrôle l'organisation au plus haut niveau concerné par le SMSI — examine formellement le système, à intervalles planifiés. Un minimum d'une fois par an est la pratique de référence, avec une fréquence plus resserrée en phase de mise en place initiale.

Éléments d'entrée obligatoires

La norme liste explicitement ce que la revue doit examiner :

• statut des actions issues des revues de direction précédentes ;
• évolutions des enjeux externes et internes pertinents pour le SMSI ;
• évolution des besoins et attentes des parties intéressées pertinentes pour le SMSI ;
• retours sur la performance de sécurité de l'information, incluant les tendances des non-conformités et actions correctives, les résultats de surveillance et de mesure, les résultats d'audit, et l'atteinte des objectifs de sécurité de l'information ;
• retours des parties intéressées ;
• résultats de l'appréciation des risques et statut du plan de traitement des risques ;
• opportunités d'amélioration continue.

Éléments de sortie

Les décisions liées aux opportunités d'amélioration continue et tout besoin de changement du SMSI doivent être formalisés comme sortie de la revue. Une revue de direction qui ne produit aucune décision documentée n'a, du point de vue de l'auditeur de certification, pas rempli son objet — même si la réunion a effectivement eu lieu et que tous les points ont été présentés.

Préparez la revue de direction comme un comité de pilotage, pas comme une réunion d'information descendante. Un ordre du jour structuré sur les sept entrées de la norme, avec un support d'une dizaine de pages maximum, produit des décisions plus nettes qu'une présentation exhaustive de soixante diapositives que personne ne discute réellement.

La boucle clause 9 vers clause 10

Le schéma résume l'enchaînement attendu par la norme. Une organisation où ce cycle ne boucle pas produit un SMSI statique, incapable de justifier une amélioration continue au sens strict de l'ISO 27001 — même si chaque sous-clause est, prise isolément, formellement satisfaite.

Pièges fréquents constatés en audit de certification

Ces écarts reviennent année après année dans les rapports d'audit de certification, tous secteurs confondus.

• Indicateurs collectés mais jamais analysés — un tableau mis à jour mensuellement, sans trace de décision associée aux variations observées.
• Programme d'audit incomplet — certains contrôles de l'annexe A retenus dans la SoA ne sont jamais couverts sur le cycle de trois ans.
• Auditeur juge et partie — l'auditeur interne évalue un processus qu'il exploite lui-même, ou qu'il a lui-même conçu.
• Revue de direction de façade — un compte rendu rédigé a posteriori pour satisfaire l'auditeur externe, sans réunion effective ni décision traçable.
• Absence de suivi des actions — les non-conformités sont constatées mais le plan d'actions n'a ni échéance ni responsable assigné, et personne ne vérifie sa clôture.

Checklist opérationnelle

• Liste d'indicateurs SMSI documentée, avec méthode, fréquence, cible et responsable pour chacun.
• Résultats de surveillance et de mesure conservés comme information documentée.
• Programme d'audit interne pluriannuel couvrant 100 % du périmètre et de la SoA.
• Auditeurs internes formés, désignés, et jamais affectés à l'audit de leur propre périmètre.
• Rapport d'audit diffusé avec classification claire des constats (majeure, mineure, observation).
• Plan d'actions correctives avec échéances et responsables, suivi jusqu'à clôture effective.
• Revue de direction planifiée au moins annuellement, avec ordre du jour couvrant les sept entrées de la norme.
• Compte rendu de revue de direction contenant des décisions datées et assignées, pas un simple relevé de présence.